Address Poisoning

Der Angriff besteht aus zwei Teilen. Zunächst erzeugt der Angreifer per Brute Force eine Vanity-Adresse, deren erste und letzte Zeichen mit der Adresse übereinstimmen, die das Opfer üblicherweise verwendet, denn viele Wallets blenden den mittleren Teil aus und Nutzer prüfen nur die Enden. Anschließend schleust er diese Köderadresse in den Transaktionsverlauf ein: über einen Zero-Value-Transfer, der ausnutzt, dass ein transferFrom bei ERC-20 das Bewegen eines Nullbetrags ohne Guthaben oder Freigabe erlaubt, oder durch das Senden von Dust oder eines gefälschten Tokens mit gleichem Namen. Bei einer späteren Überweisung kopiert das Opfer die ähnlich aussehende Adresse aus dem Verlauf.

Anders als beim Approval-Phishing gibt es hier keine Signatur einer Freigabe: Der Schaden entsteht durch einen menschlichen Kopierfehler. Die Abwehr besteht darin, keine Adressen aus dem Verlauf zu kopieren, ein Adressbuch oder eine Vertrauensliste zu nutzen, die vollständige Adresse und nicht nur Präfix und Suffix zu prüfen und vor der Übertragung eines größeren Betrags eine kleine Testüberweisung zu senden. Das Phänomen ist dokumentiert; MetaMask, Trezor, Ledger und Etherscan warnen davor, und Etherscan markiert solche Transaktionen in seinem Explorer als verdächtig.